Purple team
Покрытие обнаружения обычно описывают как процент от некоторого фреймворка. Эта цифра берётся из чтения названий правил. Единственный способ узнать, срабатывает ли правило, - сделать то, что оно должно поймать, пока кто-то смотрит в консоль, и записать, что появилось.
Что входит
- Заранее согласованный список приёмов, взятый из MITRE ATT&CK и из того, что мы видим на практике
- Выполнение рядом с вашей командой обнаружения, в реальном времени
- Результат по каждому приёму: сработало оповещение, записалось в журнал без оповещения или телеметрии нет вовсе
- Предложения по донастройке правил, которые почти сработали
- Повторный прогон не сработавших приёмов после донастройки, в рамках того же проекта, если позволяет время
Что вы получаете
- Таблица результатов приём за приёмом, с отметками времени с обеих сторон
- Конкретные отсутствующие источники журналов, а не просто вывод о низком покрытии
- Предложения по логике обнаружения, написанные на том языке запросов, которым вы действительно пользуетесь
- Короткий список того, что исправить первым, упорядоченный по распространённости приёма
- Разбор с командой обнаружения
- Письмо-подтверждение для аудиторов и клиентов, по запросу
- Подтверждение устранения после повторной проверки, отдельным документом
Форма проекта
- Объём определяется индивидуальноФиксируется письменно до начала тестирования. От двух до пяти дней на площадке или удалённоТипичное окно. Выстраивается вокруг вашего срока, если он есть. Как формируется цена
Что из этого обычно выходит
Обычный результат - не отсутствие обнаружения. Телеметрия есть, правило есть, но они не встречаются: правило обращается к таблице, в которую нужный источник журналов не пишет; либо фильтрует по имени процесса, которое приём не использует; либо отправляет оповещение в канал, который в два часа ночи никто не читает. Всё это дёшево исправить, как только кто-то доказал, что так и происходит.
Второй частый результат - приём, который оставляет вполне годную запись в журнале, но её никто не запрашивает. Это самая дешёвая находка в списке и самая легко упускаемая при проверке по документации.
Как проходит сессия
Сначала мы согласуем список приёмов, чтобы никого не застать врасплох и чтобы ваша команда успела подготовить запросы. В день работ мы выполняем каждый приём по очереди, объявляя его по ходу, а ваша команда сообщает, что она видит и когда. Обе стороны фиксируют отметки времени. Там, где приём не даёт ничего, мы останавливаемся и выясняем, в чём дело - в источнике журналов, в правиле или в маршрутизации, - и только потом идём дальше.
Чем это не является
Это совместное упражнение, а не скрытное. Если вы хотите понять, поймает ли ваша команда того, кто старается не попасться, - это оценка Red Team, и она измеряет другое. Кроме того, мы не эксплуатируем, не мониторим и не укомплектовываем вашу функцию обнаружения. Мы её тестируем, помогаем настроить и возвращаем тем, кому она принадлежит.
Вопросы
Нужно место, куда попадают журналы, и человек, который умеет их запрашивать. Зрелость не обязательна. Некоторые из самых полезных сессий прошли с командой на третьем месяце после внедрения SIEM, которой нужно было понять, какие из их предположений подтверждаются.
Согласованные заранее на основе MITRE ATT&CK, с упором на то, что мы действительно видим в деле: доступ к учётным данным, боковое перемещение, злоупотребление сертификатами и закрепление. Если у вас есть конкретная модель угроз или недавний инцидент в отрасли, который хочется покрыть, - приносите.
Мы предлагаем логику и передаём черновики запросов на том языке, которым вы пользуетесь, - чаще всего KQL для Microsoft Sentinel. Владеет ими, проверяет и выкатывает их ваша команда, потому что правила, которых никто внутри не понимает, становятся следующим пробелом.
Да, и там, где позволяет окно проекта, мы перезапускаем не сработавшие приёмы в той же сессии - это самая быстрая обратная связь из возможных.
Индивидуально, по объёму списка приёмов и длительности окна. Фиксируется письменно после созвона.
Определите объём как следует до того, как покупать.
Тридцать минут разговора, письменная фиксированная цена в течение 24 часов и честный ответ, если это не тот проект, который вам нужен.